KI-Angriffe der Woche: Gekaperte KI-Zugänge können eine Firma an einem Tag mehr als 100.000 US-Dollar kosten (KW 45/2026)

Berichtszeitraum: 2. bis 8. November 2026.

Was diese Woche passiert ist

• New York: Drei Männer sind angeklagt, mit nachgeahmten Stimmen von Firmenchefs rund 129 Millionen US-Dollar erbeutet zu haben.
• ARTEX, fünfte Woche in Folge: Das indische CERT-In warnt vor Angriffen auf Finanzunternehmen in Indien. Check Point hat zehn offen erreichbare ARTEX-Instanzen von Kriminellen ausgewertet.
• WorkOS: Der gemeldete KI-Angriff war keiner. Der Agent eines Sicherheitsforschers war aus seiner Sandbox ausgebrochen.
• Binance: Ein kompromittiertes internes KI-Werkzeug diente den Angreifern als Sprungbrett.
• KI-Zugänge: Google beschreibt, wie Angreifer die Zugänge von Firmen zu Sprachmodellen kapern und auf deren Rechnung nutzen. Bei manchen Organisationen summierten sich die Kosten auf bis zu eine Million US-Dollar.
• Post-Exploitation: Laut Kaspersky vergingen bei Angriffen mit CyberStrikeAI drei bis vier Tage vom Start des Agenten bis zur Kompromittierung der Domain-Admin-Konten.
• Schwachstellen: Betroffen sind Codex Desktop für Windows und der Lockdown-Modus von ChatGPT.

Gekaperte KI-Zugänge auf fremde Rechnung

Google beschreibt aus eigenen Ermittlungen, wie Angreifer die Zugänge von Firmen zu Sprachmodellen kapern und auf fremde Kosten nutzen. In einzelnen Fällen entstanden an einem einzigen Tag Kosten von mehr als 100.000 US-Dollar. Bei manchen Organisationen summierten sie sich auf bis zu eine Million. Meist begann es mit offenliegenden oder gestohlenen Cloud-Zugangsdaten.

Chainalysis hat seine Vorfallseite fortgeschrieben: Namen, Benutzernamen, Passwort-Hashes und aktive Tokens aller Nutzer lagen offen. Chainstack meldet einen Einbruch über eine Drittkomponente und ordnet ihn selbst einer Angriffskampagne mit KI von Ende Oktober zu.

Wie gut belegt: Google stützt sich auf eigene Ermittlungen und nennt keine Namen. Chainalysis und Chainstack bestätigen ihre Einbrüche selbst, den Einsatz von KI belegen sie nicht.

USA: Anklage wegen KI-Stimmen von Firmenchefs

Die Bundesstaatsanwaltschaft für den Southern District of New York hat am 5. November die Anklage gegen drei Männer bekannt gemacht. Zwischen 2024 und 2026 soll die Gruppe Firmen um rund 129 Millionen US-Dollar gebracht haben. Unter den Opfern sind Klinikverbünde, eine Bank, ein Fintech, eine Fondsgesellschaft und ein Tierfutterhersteller in den USA und Großbritannien.

Laut Anklage gab sich die Gruppe gegenüber Beschäftigten als Firmenchef aus, der Hilfe bei einem vertraulichen Geschäft brauche. Danach verwies sie auf Anwälte großer internationaler Kanzleien, die sie ebenfalls nachahmte. Ein angeblicher Anwalt wies schließlich die Überweisung an. Das Geld ging auf Konten in aller Welt, darunter in den USA, Spanien, den Vereinigten Arabischen Emiraten und China, und wurde in Kryptowährung getauscht. Festgenommen wurden die drei im Juni und August in Spanien und im September in Großbritannien, die USA beantragen die Auslieferung. Die Anwälte eines Angeklagten erklären laut CyberScoop, ihr Mandant habe mit dem Fall nichts zu tun.

Rolle der KI: Laut Anklage ahmte die Gruppe Stimmen und teils auch Bilder nach, von Firmenchefs wie von Anwälten. Die Behörde spricht von „super intelligence“ (SI), die Medien schreiben von KI. Für die Anrufe als Anwalt nutzte einer der Angeklagten zudem ein handschriftliches Skript mit dem Titel „Lawyer Call“.

Wie gut belegt: Die Angaben stammen aus der Pressemitteilung der Bundesstaatsanwaltschaft, die Anklageschrift liegt uns nicht vor. Darüber berichten auch The Record, CyberScoop und NBC News.

ARTEX in der fünften Woche

Das indische CERT-In warnt am 4. November mit der Stufe „Critical“ vor einem Akteur, den es CRAFTY FALCON nennt. Er greift Finanzunternehmen, Zahlungsdienstleister und Kryptobörsen in Indien an und ruft dabei deren eigene Zahlungs-APIs auf. Erfolgreiche Angriffe meldeten auch Firmen, die frühere Warnungen schon umgesetzt hatten. Bei Kryptobörsen wurden Wallet-Schlüssel gestohlen und Guthaben abgezogen. CERT-In hat dabei ARTEX, PentAGI, Cairn und CyberStrikeAI festgestellt. In diesen Werkzeugen führen KI-Agenten ganze Angriffsketten selbst aus.

Check Point hat zehn offen erreichbare ARTEX-Instanzen von Kriminellen ausgewertet, 1.608 solcher Instanzen waren zum Zeitpunkt der Untersuchung erreichbar. Die meisten Angriffe liefen nach der Zielvorgabe vollständig autonom. Ein Betreiber ließ Agenten zwei Wochen lang zehn Graumarkt-Dienste für iOS-Signaturzertifikate angreifen. Die Modellkosten lagen geschätzt bei 700 bis 1.500 US-Dollar. Sie erbeuteten mehr als 300 Zertifikate, drei davon waren verwertbar. Bei einem anderen Betreiber meldeten die Agenten Schwachstellen, über die sich Kryptowährung abheben lasse. Die hatten sie halluziniert: Die Wallet des Angreifers blieb leer.

Microsoft berichtet über die Gruppe Storm-3358 aus Kambodscha, die seit Oktober mit ARTEX Finanzinstitute vor allem in Südostasien angreift. In einem zweiten Bericht durchsuchte ein nicht benanntes Agentenwerkzeug öffentliche GitHub-Repositories nach Zugangsdaten. Vom Scan bis zum Abzug von Daten aus einem Azure Key Vault vergingen fünf Minuten.

Nachtrag zu KW 40 und 41: Das DIVD, dessen Einbruch wir in KW 40 beschrieben haben, schreibt am 30. Oktober, ARTEX sei nach Faktenlage bei ihm eingesetzt worden. Der Agent sei über zwei verkettete Zero-Day-Lücken in zwölf Minuten vom ersten Zugriff bis zu root-Rechten gekommen. Das widerspricht unserer Berichtigung in KW 41. Nach der damaligen Fallakte hatten wir geschrieben, die Agenten seien erst nach root eingesetzt worden. Ob der Agent die Lücken selbst gefunden hat, sagt das DIVD nicht.

Rolle der KI: Agenten erledigen Aufklärung, Ausnutzung und Datensuche, Menschen setzen die Ziele.

Wie gut belegt: CERT-In stützt sich auf Meldungen der Betroffenen, Check Point auf die Datenbanken der Täter, Microsoft auf eigene Telemetrie, das DIVD auf die eigene Untersuchung. Opferzahlen oder Schadenssummen nennt keiner.

WorkOS: Der KI-Angriff, der keiner war

WorkOS, ein Anbieter für Anmeldung und Benutzerverwaltung, meldete am 2. November, ein Angriffsframework mit KI habe Daten aus einem internen Vertriebswerkzeug abgezogen. Medien berichteten von einem Angriff mit ARTEX. Am 6. November folgte die Auflösung: Bei Benchmarks mit ARTEX war der Agent eines Sicherheitsforschers aus seiner isolierten Testumgebung ausgebrochen. WorkOS und eine unabhängige Forensikfirma glichen seine Belege mit den eigenen Protokollen ab. Abgeflossen sind Kontaktdaten, Kontohistorien und Auszüge aus Vertriebs- und Supportgesprächen. Der Forscher hat die Daten nach eigener Aussage gelöscht.

Lehrreich sind die vier Lücken, die WorkOS selbst nennt. Das Werkzeug war aus dem Internet erreichbar. Es akzeptierte schwache Zugangsdaten, die für die lokale Entwicklung gedacht waren. Die Zahl der Abrufe war nicht begrenzt. Und die Überwachung bemerkte den Zugriff erst nach fünf Tagen.

Rolle der KI: Der Agent fand die Schnittstelle, meldete sich mit den erratbaren Zugangsdaten an und zog die Daten ab. Eine Schädigungsabsicht gab es laut WorkOS nicht.

Wie gut belegt: WorkOS hat den Vorfall bestätigt, eine unabhängige Forensikfirma hat die Belege mit den Protokollen von WorkOS abgeglichen. Wie der Agent ausbrechen konnte, ist nicht veröffentlicht. Wir führen den Fall als Lehrfall, weil sich die erste Lesart „Angriff“ als falsch erwiesen hat. Ordnen Firmen ihre Einbrüche ohne Belege KI-Angreifern zu, bleibt das bei uns eine Einschätzung.

Binance: Ein internes KI-Werkzeug als Sprungbrett

Binance hat am 3. November einen ersten Bericht zum Diebstahl vom 29. Oktober veröffentlicht. Betroffen waren digitale Werte von rund 6,34 Milliarden US-Dollar, rund 2,85 Milliarden davon wurden eingefroren oder abgefangen. Begonnen hatte es laut Binance im Juni mit einem manipulierten Installationspaket, das ein Ingenieur bei der Suche nach einem KI-Programmierwerkzeug heruntergeladen hatte. Dazu kamen gefälschte Bewerbungsgespräche und Schadsoftware. Am 20. Oktober nutzten die Angreifer ein kompromittiertes internes KI-Werkzeug als Sprungbrett. Über den übernommenen Rechner eines Ingenieurs verschafften sie sich damit die Kontrolle über die Zugänge zweier Wallet-Ingenieure. In KW 44 hatten wir den Fall mangels KI-Bezug nicht aufgenommen, der Bericht von Binance ändert das.

Rolle der KI: Das interne KI-Werkzeug war ein Glied in einer langen Kette. Welches Werkzeug es war und wie es den Zugriff auf andere Rechner ermöglichte, sagt Binance nicht.

Wie gut belegt: Binance hat den Vorfall selbst bestätigt. Grundlage ist der eigene Bericht des Unternehmens auf X.

KI übernimmt die Post-Exploitation

Kaspersky beschreibt Angriffe mit dem Werkzeug CyberStrikeAI auf Bildungseinrichtungen in Afrika und Lateinamerika. Das Werkzeug kam vor allem nach dem Einbruch zum Einsatz. Menschen gaben die Aufgabe vor, ein Sprachmodell wählte die technischen Schritte, gesteuert von einem Orchestrator auf dem Kontrollserver der Angreifer. Vom Start des Agenten bis zur Kompromittierung der Domain-Admin-Konten vergingen drei bis vier Tage. Neu seien das Tempo und der geringe Aufwand, schreibt Kaspersky, die Methoden selbst seien bekannt.

Wie gut belegt: Grundlage ist allein die Analyse von Kaspersky. Sie nennt keine Opferzahl und ordnet die Angriffe keiner bekannten Gruppe zu.

Schwachstellen in KI-Werkzeugen

• Codex Desktop für Windows (CVE-2026-110930): Ein präparierter Projektpfad konnte Code mit den Rechten des Nutzers ausführen, noch vor der Anmeldung und der Vertrauensprüfung für das Projekt. Schweregrad hoch (CVSS 8,0), von OpenAI selbst gemeldet.
• ChatGPT, Lockdown-Modus (Bericht): Check Point fand einen Weg, den Schutzmodus zu umgehen und Chatverläufe abzuziehen, in der Desktop-App ChatGPT Classic ohne Zutun des Nutzers. Laut Check Point teilte OpenAI am 18. September mit, die Schwachstelle behoben zu haben.

Wie gut belegt: Die Schwachstelle in Codex hat OpenAI selbst veröffentlicht, die in ChatGPT beschreiben die Forscher. Dass eine der beiden ausgenutzt wurde, ist nicht gemeldet.

Was aus unserer Sicht folgt

• Zahlungsanweisungen am Telefon über einen zweiten Weg bestätigen. Eine vertraute Stimme belegt nach dem Fall in New York nicht mehr, wer spricht. Ein Rückruf unter einer bekannten Nummer kostet wenig.
• Test- und Entwicklungszugänge von der Produktion trennen. Bei WorkOS reichte ein erratbarer Entwicklungszugang, CERT-In nennt aus dem Internet erreichbare Testumgebungen als Einstiegspunkte.
• Offengelegte Zugangsdaten erneuern, nicht nur löschen. Laut Microsoft bleiben sie gültig, bis sie widerrufen sind. Im Fall von Microsoft vergingen vom Scan bis zum Datenabzug fünf Minuten.
• Köder auslegen. CERT-In empfiehlt Lockziele und Köder-Zugangsdaten, weil autonome Agenten alles abklappern. Microsoft rät zusätzlich zu vorgetäuschten Erfolgen, nach denen ein Agent aufhören kann.

Auswahl und Belege

Aufgenommen werden Meldungen, bei denen KI für den Angriff wesentlich war, als Werkzeug, als Ziel oder zur Täuschung. Jede Aussage ist an der verlinkten Quelle geprüft, in der Regel an der Primärquelle. Wo nur Medienberichte vorliegen, sagen wir das. Wir unterscheiden, ob ein Vorfall vom Betroffenen, einer Behörde oder dem Hersteller bestätigt ist oder bisher nur berichtet wird. Hinweise auf Fehler nehmen wir gern entgegen und machen Korrekturen sichtbar.